如何学习远程FTP服务器的S被动端口范围

Question

有没有任何方法来学习“被动”FTP服务器的端口范围，这不是我的权限。可以在配置文件中设置范围。例如，在vsftpd.conf中：

pasv_min_port=25000
pasv_max_port=25500
#pasv_min_port=0
#pasv_max_port=0 (any port)

由于我想在我的Linux终端服务器上应用一个非常受限的输出防火墙(iptables)，所以我需要知道远程服务器的端口范围。FTP是否支持公开客户端可以使用的端口范围信息？

我也对任何其他可能的解决方案开放，但以下方案除外，其中我假设服务器IP地址为10.1.1.1：

-A OUTPUT -d 10.1.1.1 -j ACCEPT

谢谢你的兴趣..。

问候

编辑

谢谢@aaron-copley，@martin-prikryl，@user3590719 3590719 3590719

回答主要问题时，FTP不向客户端公开被动端口范围。

需要的解决方案是加载用于FTP的网络过滤器连接跟踪模块。

ip_conntrack_ftp (Module alias for CentOS/Red Hat : nf_conntrack_ftp)

红帽7的工作示例配置：

/etc/sysconfig/iptables-config

IPTABLES_MODULES="nf_conntrack_ftp"

iptables规则

-A OUTPUT -o lo -j ACCEPT
-A OUTPUT -m state --state RELATED,ESTABLISHED -j ACCEPT
-A OUTPUT -d 10.1.1.1/32 -p tcp -m tcp --dport 21 -j ACCEPT
-A OUTPUT -j DROP

最后，手动加载模块或重新启动iptables.service。

Answer 1

FTP服务器不会公开宣布被动端口范围。

您所能做的就是自动化多个文件到/从服务器的并行传输，并从用于这些传输的端口推断出范围。

Answer 2

我在之前的回答中找到了这个

为FTP PASV模式连接设置Linux

这个：https://major.io/2007/07/01/active-ftp-connections-through-iptables/

这是：

https://www.cyberciti.biz/tips/how-do-i-use-iptables-connection-tracking-feature.html

在所有这些规则中，您都希望使用iptables规则中的ip_conntrack_ftp和相关规则来保持被动连接的打开。